경영진의 78%는 90일 안에 독립적인 AI 거버넌스 감사를 통과할 수 있다고 확신하지 못합니다. 이번 달 발표된 Grant Thornton의 C레벨 및 고위 경영진 950명 대상 설문조사에서 나온 이 수치는 컴플라이언스 업계가 오랫동안 설명하려 애써 온 문제를 정확히 보여줍니다. 대부분의 조직은 설명하지도, 측정하지도, 방어하지도 못하는 AI를 도입하고 있습니다. Grant Thornton은 이를 'AI 입증 격차(AI proof gap)'라고 불렀습니다.
그 사업적 영향은 분명합니다. AI를 완전히 통합한 조직은 아직 파일럿 단계인 조직보다 AI 기반 매출 성장을 보고할 가능성이 약 4배 높습니다(58% 대 15%). 응답자의 절반 가까이는 거버넌스 및 컴플라이언스 실패를 AI 성과 부진의 주요 원인으로 꼽았습니다. 그런데도 이사회의 4분의 3이 대규모 AI 투자를 승인한 반면, 절반 가까이는 거버넌스 기준을 정하지 않았고 AI 리스크를 정기 안건으로 다루지도 않고 있습니다.
이사회는 문제가 생겼을 때 어떻게 되는지 묻지 않은 채 AI 투자를 승인하고 있습니다.
속도를 지속 가능하게 만드는 것은 거버넌스입니다
데이터에 나타난 확신의 격차가 이를 잘 보여줍니다. 아직 AI 파일럿 단계인 조직 중 90일 안에 독립적인 거버넌스 감사를 통과할 수 있다고 강하게 확신하는 곳은 7%에 불과합니다. AI를 완전히 통합한 조직에서는 이 수치가 74%입니다. 10배에 달하는 이 격차는 사업 성과의 차이와 거의 정확히 일치합니다.
의사결정이 어떻게 이루어졌고 결과에 누가 책임을 지는지 입증할 수 있다면, 새로운 활용 사례가 리스크 위원회에 올라갈 때마다 속도를 늦출 필요가 없습니다. 이를 처리하는 체계가 갖춰져 있기 때문입니다. Maven AGI가 말하는 '덧붙이는 것이 아니라 처음부터 내장하는(Built In, Not Bolted On)' 거버넌스가 바로 이것입니다. 나중에 덧씌우는 것이 아니라 처음부터 플랫폼에 내장된 거버넌스입니다. 이미 도입된 AI 시스템에 컴플라이언스를 사후에 적용하는 것은 처음부터 내장하는 것보다 비용이 더 들고, 운영에 더 큰 혼란을 주며, 신뢰도도 훨씬 떨어집니다.
C레벨 간 인식 차이 문제
Grant Thornton의 데이터는 제가 자주 접하는 긴장 관계를 보여줍니다. CIO와 CTO는 COO보다 조직 구성원이 AI를 도입할 준비가 완전히 되어 있다고 답할 가능성이 5배 높습니다. 특히 에이전틱 AI와 관련해서는 COO의 54%가 규제 및 컴플라이언스 불확실성을 우려하는 반면, CIO와 CTO는 20%에 그칩니다.
이러한 우려의 차이 자체가 거버넌스 리스크입니다. 기술을 도입하는 사람들과 그 기술의 영향을 받는 운영을 책임지는 사람들이 서로 다른 그림을 보고 있는 것입니다. 이런 불일치가 지속되면 거버넌스 문제는 뒤로 미뤄집니다. 이를 우려하는 부서에는 예산 권한이 없고, 예산 권한이 있는 부서는 문제를 인식하지 못하기 때문입니다.
에이전틱 AI는 다음 책임성 격차입니다
컴플라이언스 팀이 가장 주목해야 할 부분은 에이전틱 AI를 다룬 항목입니다. 조직 4곳 중 약 3곳이 이미 파일럿, 확장 또는 운영 환경에서 에이전틱 AI에 데이터와 프로세스 접근 권한을 부여하고 있습니다. 반면 장애 발생 시를 대비해 검증된 사고 대응 계획을 갖춘 곳은 5곳 중 1곳에 불과합니다.
이는 새로운 프로그램이 필요한 새로운 문제가 아닙니다. 대부분의 조직은 이미 사이버 보안 분야에서 사고 대응 역량을 갖추고 있습니다. 지속적인 모니터링, 탐지, 정의된 에스컬레이션 경로, 감사 추적, 명확한 책임 소재가 그것입니다. 인프라는 이미 존재합니다. 부족한 것은 이를 AI 도입과 연결하는 일입니다. 조직들은 필요한 역량을 대부분 이미 갖추고 있으면서도 AI 거버넌스를 별개의 분야로 취급하고 있습니다.
특히 엔터프라이즈 고객 경험(CX) 분야에서는 AI 에이전트가 실시간으로 대규모 문의를 해결하고, 결제를 처리하고, 예약을 잡고, 계정 데이터에 접근합니다. 고객 성과와 규제 준수를 책임지는 운영 팀은 예외 상황에서 이러한 에이전트가 어떻게 동작하는지, 장애가 발생하면 어떻게 되는지, 감사 추적이 제대로 유지되는지에 대해 정당한 의문을 가지고 있습니다. 이런 질문에는 구두 보증이 아니라 시스템 차원의 답이 필요합니다.
엔터프라이즈 컴플라이언스 팀이 지금 해야 할 일
- 거버넌스에 앞서 에이전틱 AI 노출 현황을 파악하십시오. 파악하지 못한 것은 관리할 수 없습니다. 대부분의 조직은 AI 에이전트가 무엇을 하고 있는지, 어떤 데이터에 접근하는지, 어느 수준의 자율성으로 동작하는지 정확히 알지 못합니다. 이것이 반드시 필요한 첫 단계이지만, 대부분의 조직은 아직 이 단계를 밟지 않았습니다.
- AI 컴플라이언스를 연간 프로젝트가 아닌 상시 업무로 다루십시오. 고위험 AI 시스템에 대한 EU AI Act 요건은 2026년 8월 2일부터 전면 시행됩니다. ISO 42001은 엔터프라이즈 구매 체크리스트에 점점 더 자주 등장하고 있습니다. 연 단위 검토 주기로는 속도를 따라갈 수 없습니다.
- C레벨 간 인식 차이가 사고로 이어지기 전에 해소하십시오. CIO와 COO가 AI 리스크의 소재에 대해 근본적으로 다른 시각을 가지고 있다면, 그 불일치는 기획 단계의 논의가 아니라 장애로 드러나게 됩니다. AI 준비도, 책임, 리스크에 대한 공통된 정의가 도입 전에 마련되어야 합니다.
- AI 사고 대응 계획을 수립하고 검증하십시오. 정책 문서가 아니라 검증된 프로토콜이어야 합니다. 담당자를 지정하고, AI 시스템이 의사결정을 내리는 방식을 문서화하고, 실제로 필요해지기 전에 대응 훈련을 실시하십시오. 사이버 보안 분야에서 이미 이를 해 본 조직은 비교적 빠르게 적용할 수 있습니다.
- AI 벤더에게 제3자 인증을 요구하십시오. 벤더의 AI 플랫폼을 도입한다면 벤더의 컴플라이언스 체계는 곧 귀사의 컴플라이언스 체계의 일부입니다. 실제 인증을 보유한 벤더는 주저 없이 이를 공유합니다.
기다림의 대가
AI 입증 격차는 누적됩니다. 거버넌스를 미룬 매주가 그 전주보다 격차를 메우기 어렵게 만듭니다. 관리되지 않은 이니셔티브 하나하나가 다음 이니셔티브를 측정하고 방어하기 더 어렵게 만들기 때문입니다.
일찍 책임성 인프라를 구축한 조직은 이미 앞서 나가고 있습니다. 더 신중해서가 아니라 더 준비되어 있었기 때문입니다. 이들은 자신 있게 확장할 수 있습니다. 그렇지 못한 조직은 계획하지 않았던 리스크를 관리하고 있습니다.
Maven AGI가 실제로 신뢰와 컴플라이언스에 어떻게 접근하는지 확인하고 싶으시다면, 누구나 열람할 수 있는 Trust Center를 방문해 주십시오: https://trust.mavenagi.com
엔터프라이즈 고객 경험(CX)을 위한 AI 플랫폼을 검토 중이시라면 언제든 이야기 나누고 싶습니다. 데모 요청: https://www.mavenagi.com/demo
귀사의 실제 대화로 확인하세요.
맞춤형 무료 데모를 신청하세요.
